DE3382744T2

DE3382744T2 - Mikroprozessorsysteme für elektronische Frankiereinrichtungen.

Info

Publication number: DE3382744T2
Application number: DE19833382744
Authority: DE
Inventors: Frank T Check
Original assignee: Pitney Bowes Inc
Current assignee: Pitney Bowes Inc
Priority date: 1982-01-29
Filing date: 1983-01-25
Publication date: 1994-09-01
Anticipated expiration: 2003-01-26
Also published as: DE3382835D1; DE3382744T3; EP0736846B1; JPH0797417B2; EP0513880A3; JPS58144989A; EP0085385A2; DE3382744D1; EP0513880A2; DE85385T1; DE3382810T2; DE3382810D1; EP0736846A2; EP0736846A3; CA1206619A; EP0085385A3; EP0513880B1

Description

Diese Erfindung bezieht sich auf elektronische Frankiermaschinensysteme. EP-A-0 019 515 offenbart ein elektronisches Frankiermaschinensystem, mit: einem Adreßbus mit einer Vielzahl von Adreßleitungen; einem Datenbus mit einer Vielzahl von Datenleitungen; einem Steuerbus mit einer Vielzahl von Steuerleitungen; einem Mikroprozessor, der mit jeder der Adreßleitungen und Datenleitungen des Adreß- und Datenbusses verbunden ist, und mit dem Steuerbus gekoppelt ist; und ersten und zweiten Speichereinheiten mit wahlfreiem Zugriff.
Eine elektronische Frankiermaschine mit einer Abrechnungseinheit mit einem Mikroprozessor und einem nicht flüchtigen Speicher zum Speichern von Abrechnungsdaten ist beispielsweise in der US-Anmeldung 089 413 (US-Patent 4 301 507) offenbart. In diesem System werden die Abrechnungsdaten in dem Speicher mit wahlfreiem Zugriff gespeichert und aus dem Speicher mit wahlfreiem Zugriff mittels gemeinsamer Adreß- und Datenleitungen des Mikrocomputersystems ausgelesen. Während es in den meisten Fällen sichergestellt werden kann, daß die in dem Speicher gespeicherten Abrechnungsdaten korrekt sind, gibt es bestimmte Umstände, die auftreten können, die in nicht erfaßbaren Fehlern in den Daten resultieren.
Um solche Probleme zu überwinden, wurde vorgeschlagen, redundante Speicher zu verwenden (EP-A-19 515). Das Mikroprozessorprogramm für die Frankiermaschine schließt somit eine Subroutine zum Vergleichen der in den redundanten Speichern gespeicherten Daten ein, um eine Fehleranzeige vorzusehen, wenn die gespeicherten Daten in den zwei Speichern verschieden sind. Während diese Technik die Zuverlässigkeit der gespeicherten Daten erhöht, gibt es bestimmte Umstände, bei welchen selbst dieser Typ eines redundanten Systems die Bestimmung eines Fehlers nicht ermöglicht. Ferner testet das bekannte System während des Druckens verschiedene Fehlfunktionsanzeigen des Wertdruckeinstell- und Druckmechanismus. Ebenfalls werden andere Typen von Fehlfunktionen erfaßt. Bei Erfassung einer Fehlfunktion wird ein geeigneter Fehlercode in den Speicher geschrieben und die Frankiermaschine gesperrt. Es muß natürlich betont werden, daß es in einer Frankiermaschine wesentlich ist, daß der höchste Zuverlässigkeitsgrad der Abrechnungsdaten erhalten wird.
Eine Aufgabe der vorliegenden Erfindung ist es, ein elektronisches Frankiermaschinensystem vorzusehen, worin die Möglichkeit von Fehlerbedingungen, die nicht erfaßbar sind, reduziert ist.
Gemäß einem Aspekt der Erfindung ist ein elektronisches Frankiermaschinensystem vorgesehen, mit: einem Adreßbus mit einer Vielzahl von Adreßleitungen; einem Datenbus mit einer Vielzahl von Datenleitungen; einem Steuerbus mit einer Vielzahl von Steuerleitungen; einem Mikroprozessor, der mit jeder der Adreßleitungen und Datenleitungen des Adreß- und Datenbusses verbunden ist, und mit dem Steuerbus gekoppelt ist; und ersten und zweiten Speichereinheiten mit wahlfreiem Zugriff, dadurch gekennzeichnet, daß der Mikroprozessor direkt mit jeder der Adreß- und Datenleitungen verbunden ist, und jeder Speicher mit verschiedenen Leitungen des Adreßbusses und verschiedenen Leitungen des Datenbusses verbunden ist, so daß die Speicher mit wahlfreiem Zugriff separat adressiert werden können.
IBM Technical Disclosure Bulletin Vol. 10, Nr. 10, März 1968, Seiten 1484/1485, offenbart ein ausfallsicheres Speichersystem mit redundanten Speichereinheiten, von denen jede verschiedene Adreß- und Datenleitungen verwendet. Diese sind jedoch nur indirekt mit der CPU über eine Auswahleinheit verbunden.
DE-A-30 24 370 sieht redundante Speicher vor, die jedoch nicht mit demselben zentralen Computer verbunden sind.
Gemäß einem weiteren Aspekt der Erfindung ist ein elektronisches Frankiermaschinensystem vorgesehen, mit einem Mikroprozessor, adressierbaren und redundanten, nicht flüchtigen Speichereinrichtungen, wobei die nicht flüchtigen Speichereinrichtungen zwei separate, nicht flüchtige Speichereinheiten aufweisen, einer Adreßbuseinrichtung, die mit den nicht flüchtigen Speichereinrichtungen und dem Mikroprozessor verbunden ist, und einer Datenbuseinrichtung, die mit den nicht flüchtigen Speichereinrichtungen und dem Mikroprozessor verbunden sind, worin der Mikroprozessor programmiert ist, Daten zum sequentiellen Schreiben in die nicht flüchtigen Speichereinrichtungen zu erzeugen, und Daten aus den nicht flüchtigen Speichereinrichtungen zu lesen, so daß die Daten redundant in jeweilige der Speichereinheiten eingeschrieben werden; und Einrichtungen vorgesehen sind, um zu bewirken, daß die Daten in den jeweiligen, nicht flüchtigen Speichereinheiten in verschiedenen Formen gespeichert werden.
Für ein besseres Verständnis der Erfindung wird diese nun detaillierter in beispielhafter Weise unter Bezugnahme auf die begleitenden Zeichnungen offenbart, welche zeigen:
Fig. 1 ist ein Blockdiagramm eines Ausführungsbeispiels eines Mikroprozessorsystems für eine elektronische Frankiermaschine in Übereinstimmung mit der Erfindung;
Fig. 2 ist ein Zeitdiagramm, welches die Sequenz des Adressierens der redundanten Speicher in Übereinstimmung mit einem anderen Ausführungsbeispiel der Erfindung darstellt;
Fig. 3 ist ein Zeitdiagramm, welches eine andere Sequenz zum Adressieren der redundanten Speicher in Übereinstimmung mit einem Ausführungsbeispiel der Erfindung darstellt;
Fig. 4 ist ein Blockdiagramm eines Abschnittes einer Modifikation des Systems der Fig. 1;
Fig. 5 ist ein Blockdiagramm einer weiteren Modifikation eines Abschnittes des Systems der Fig. 1; und
Fig. 6 ist ein Blockdiagramm eines weiteren Ausführungsbeispiels der Erfindung.
Bezugnehmend nun auf die Zeichnungen und spezieller auf Fig. 1 ist dort ein Mikroprozessorsystem dargestellt, welches ein elektronisches Abrechnungssystem bildet, wie es in einer elektronischen Frankiermaschine verwendet werden kann. Das System schließt eine zentrale Verarbeitungseinheit 10 ein, wie etwa einen Mikroprozessor, und einen Nur-Lesespeicher 11, welcher Programme für den Betrieb des Systems speichert. Die zentrale Verarbeitungseinheit 10 ist mit einer oder mehreren Peripherieeinrichtungen verbunden, wie etwa beispielsweise der Druckeinheit 12 und der Steuereinheit 13 einer elektronischen Frankiermaschine, wie etwa in der US- Patentanmeldung 089 413 (Patent-Nr. 4 301 507) offenbart ist. In dem System der Fig. 1 umgibt ein sicheres Gehäuse 14 verschiedene Komponenten des Systems, wie etwa die zentrale Verarbeitungseinheit 10 und die Druckeinheit 12. Als Konsequenz ist es nötig, Ports zwischen der zentralen Verarbeitungseinheit und der externen Steuereinheit 13 vorzusehen, um eine Zweiwegkommunikation zwischen diesen Einheiten zu ermöglichen. Bevorzugterweise sind diese Ports in der Form eines Paares von Einwegübertragungspfaden mit Optokopplern 15 und 16 an dem sicheren Gehäuse, um das Anlegen irgendwelcher elektrischen Potentiale an die Abrechnungseinheit, ohne Anzeichen von Versuchen, die Einheit zu beschädigen, zu unterbinden. Die Optokoppler sorgen bevorzugtermaßen für eine zweiwegserielle Kommunikation zwischen den Einheiten auf einer Basis Bit für Bit, um die Anzahl von in dem Gehäuse erforderlichen Ports minimal zu halten.
Zusätzlich ist es wünschenswert, wie in der US-Anmeldung 089 413 (Patent-Nr. 4 301 507) erörtert, eine Kommunikation zwischen der Druckeinheit und der zentralen Verarbeitungseinheit 10 mittels eines ähnlichen Paares von Optokopplereinrichtungen 17 und 18 zu ermöglichen, wobei diese Optokoppler bevorzugtermaßen eine Zweiwegübertragung auf einer Basis Bit für Bit ermöglichen.
Die Druckeinheit, ebenso wie die Steuereinheit, können, falls gewünscht, separate Mikroprozessoren darin eingegliedert aufweisen, was die Verwendung einer Vielzahl von speziellen Mikroprozessorsystemen ermöglicht. Dieses erhöht nicht nur die Sicherheit des Systems, sondern erhöht ebenfalls seine Zuverlässigkeit durch Beschränken der erforderlichen Aufgaben eines jeden Mikroprozessors auf einen spezifischen Abschnitt des Gesamtbetriebs des Systems. Beispielsweise wird dadurch die Möglichkeit einer in Konflikt stehenden Programmanforderung wesentlich reduziert.
Wie in Fig. 1 dargestellt, ist ebenfalls ein Paar von Speichern 20, 21 mit wahlfreiem Zugriff in dem sicheren Gehäuse vorgesehen. Die Speicher 20 und 21 mit wahlfreiem Zugriff sind bevorzugtermaßen nicht flüchtige Speicher herkömmlicher Art, so daß darin Abrechnungsdaten ohne Verlust gespeichert werden können, obwohl eine externe Stromversorgung für das System zusammenbrechen kann. Lediglich beispielsweise können die Speicher mit wahlfreiem Zugriff des Typs mit Batterieunterstützung EAROM oder EEPROM sein.
Der Speicher 20 mit wahlfreiem Zugriff ist mit der zentralen Verarbeitungseinheit 10 mittels einer Vielzahl von Adreßleitungen 22 und einer Vielzahl von Datenleitungen 23 verbunden. Der Speicher mit wahlfreiem Zugriff ist mit der zentralen Verarbeitungseinheit 10 mittels einer anderen Vielzahl von Adreßleitungen 24 und einer anderen Vielzahl von Datenleitungen 25 verbunden. Es ist notwendig, daß sowohl die Adreßleitungen als auch die Datenleitungen, die mit den Speichern mit wahlfreiem Zugriff gekoppelt sind, verschieden sind. Beispielsweise sind die Adreßleitungen A0 bis A7 von einem herkömmlichen Mikroprozessorsystem und können mit dem Speicher 20 mit wahlfreiem Zugriff gekoppelt werden, während die Adreßleitungen C0 bis C7 mit dem Speicher 21 mit wahlfreiem Zugriff gekoppelt sind. In gleicher Weise können herkömmliche Datenleitungen B0 bis B3 mit dem Speicher 20 mit wahlfreiem Zugriff gekoppelt werden, wobei die Datenleitungen D4 bis D7 mit dem Speicher 21 mit wahlfreiem Zugriff gekoppelt sind.
In einem Abrechnungssystem, welches sowohl Sicherheit als auch Zuverlässigkeit erfordert, ist es wünschenswert Redundanz vorzusehen. Ein gewisser Grad von Redundanz kann erhalten werden, wenn die Speicher mit wahlfreiem Zugriff mittels separater Datenleitungen mit der zentralen Verarbeitungseinrichtung verbunden werden, obwohl sie dieselben Adreßleitungen verwenden. In solch einem System können dieselben Daten aus den zwei Speichern mit wahlfreiem Zugriff mittels ihrer jeweiligen, separaten Datenleitungen ausgelesen oder eingeschrieben werden, entweder gleichzeitig oder zu verschiedenen Zeiten, unter Steuerung der jeweiligen Chipfreigabe (chip enable)-Signale. Während in vielen Fällen solch eine Anordnung die Erfassung von Fehlern ermöglicht, bei Vergleich von Daten in den zwei Speichern, bestehen in der Tat Fehlermöglichkeiten, die nicht erfaßt werden können. Wenn beispielsweise zwei der Adreßleitungen versehentlich kurzgeschlossen werden, entweder in dem Mikroprozessor selbst oder außerhalb desselben, werden dieselben fehlerhaften Daten in den zwei Speichern mit wahlfreiem Zugriff gespeichert, so daß ein Vergleich der in den beiden Speichern gespeicherten Daten eine Fehlerbedingung nicht enthüllt.
Dieses Problem wird durch Verwenden eines gänzlich verschiedenen Satzes von Adreßleitungen des Adreßbusses zum Adressieren der zwei Speicher mit wahlfreiem Zugriff überwunden. Bevorzugtermaßen ist natürlich die Anzahl von Adreßleitungen und die Anzahl von Datenleitungen, die mit den Speichern mit wahlfreiem Zugriff verbunden sind, die gleiche. Wenn nun zwei Adreßleitungen des Systems beispielsweise kurzgeschlossen werden, ist die Wahrscheinlichkeit gering, daß die in den zwei Speichern gespeicherten, resultierenden Daten gleich sind, so daß die Zuverlässigkeit des Systems bei der Erfassung von Fehlern wesentlich erhöht wird.
Während die zwei Speicher mit wahlfreiem Zugriff gleichzeitig adressiert werden können, unter Verwendung ihrer separaten Adreßleitungen, zum Speichern oder Lesen derselben Information, kann dieses auch in Fehlern resultieren, die nicht erfaßbar oder korrigierbar sind. Beispielsweise ist es möglich, daß ein transientes Signal auf den Busleitungen in derselben Weise auf die gleichzeitig übertragenen Daten einwirken kann. Demgemäß, wie in Fig. 2 dargestellt, werden die zwei Speicher bezüglich derselben Daten in einer sequentiellen Weise adressiert. Beispielsweise werden alle sequentiellen Bytes einer Nachricht zuerst auf den ersten Speicher gegeben oder von diesem empfangen, d. h. Speicher 1. Auf die Übertragung dieser Nachricht bezüglich des ersten Speichers folgend wird dieselbe Nachricht dann bezüglich des zweiten Speichers übertragen. Es ist natürlich klar, daß der Begriff "Byte" sich hier auf Daten mit einer Länge gleich der Anzahl von Datenleitungen, die mit jedem Speicher verbunden sind, bezieht.
Um die zum Aktualisieren oder Lesen des Speichers erforderliche Zeit zu reduzieren, kann jeder Speicher gleichzeitig aktualisiert oder gelesen werden, jedoch mit verschiedenen Daten, die zu oder von jedem Speicher in jedem Moment übertragen werden, wie in Fig. 3 dargestellt.
Fig. 2 und 3 erläutern somit zwei Techniken zum Minimieren des Auftretens nicht erfaßbarer Fehler, die aus dem Auftreten beispielsweise von transienten Impulsen resultieren. Es ist deutlich, daß es unwahrscheinlich wäre, daß dieselben Auswirkungen bei sequentiell übertragenen Daten auftreten.
In noch einem weiteren Ausführungsbeispiel der Erfindung können die Daten in den zwei Speichern in verschiedener Form gespeichert werden. Beispielsweise können die in einem oder beiden der Speicher gespeicherten Daten codiert werden, um das Auftreten von Fehlern, die durch Vergleich der in den zwei Speichern gespeicherten Daten unerfaßbar sind, zu minimieren. Beispielsweise kann, wie in Fig. 4 dargestellt, ein Codierer/Decodierer 30 verwendet werden, um die in dem Speicher 20 mit wahlfreiem Zugriff gespeicherten Daten zu codieren und decodieren, die an den Datenbus 23 angelegt und von diesem empfangen werden. Ein Codierer/Decodierer 31 kann optional vorgesehen sein zum Codieren und Decodieren von Daten in dem Speicher 21 mit wahlfreiem Zugriff. Wenn solch ein zusätzlicher Codierer/Decodierer verwendet wird, ist es zu bevorzugen, daß er eine andere Codierung aufweist als diejenige des Codierers/Decodierers 30.
Es versteht sich natürlich, daß die Programme des Mikroprozessors geeignete Unterroutinen haben, um für den Fall, daß ein Vergleich zwischen den Daten eine Inkonsistenz zeigt, zu bestimmen, welcher Speicher mit größerer Wahrscheinlichkeit korrekt ist. Zusätzlich können weitere Routinen für den Fall vorgesehen sein, daß das System nicht in der Lage ist zu bestimmen, welche der Dateneinträge fehlerfrei sind, um eine Fehleranzeige vorzusehen, welche einen weiteren Betrieb des Systems unterbindet.
In dem in Fig. 2 und 3 dargestellten Ausführungsbeispiel der Erfindung werden die zwei Speicher unter der Steuerung eines festen Programms adressiert, welches beispielsweise auf eine vorbestimmte Bedingung in dem System anspricht. Als Konsequenz existiert notwendigerweise eine vorbestimmte Beziehung zwischen den Adressierzeiten für die zwei Speicher. Als weitere Modifikation kann jede Speichereinheit, wenn separate Speichereinheiten vorgesehen sind, unabhängig auf vorbestimmte Bedingungen ansprechend geschaffen werden. Wenn beispielsweise das Abrechnungssystem, wie in Fig. 1 dargestellt, verbunden ist, um eine Frankiermaschine zu bilden, können die zwei Speicher unabhängig auf jedes Rückführsignal einer Druckereinstellung ansprechen, um die separaten Speicher zu aktualisieren, wobei eine übergeordnete Subroutine zum gegenseitigen Prüfen vorgesehen ist, d. h. Vergleichen der in den zwei Speichern gespeicherten Daten. Die unabhängige Steuerung kann beispielsweise in der Form einer Speichersteuerung sein. Dadurch, daß so die zwei Speichereinheiten unabhängiger voneinander arbeiten, wird die Chance einer fehlerfreien Operation wesentlich vergrößert.
Um einen ordnungsgemäßen Betrieb sicherzustellen und dadurch die Gesamtheit der darin gespeicherten Abrechnungsinformation zu erhalten, werden elektronische Frankiermaschinen mit einer Vielzahl von Sensoren ausgestattet, wie etwa den Sensoren 50, 51 und 52, die mit der zentralen Verarbeitungseinheit 10 in Fig. 1 gekoppelt dargestellt sind. Diese Sensoren können verwendet werden, um eine Vielzahl von Bedingungen in der Frankiermaschine zu prüfen, wie etwa die Position eines Verschlußriegels, welcher den Betrieb der Frankiermaschine blockiert, die Positionen verschiedener Zwischeneinrichtungen, die den Betrieb der Frankiermaschine steuern, und verschiedener anderer Bedingungssensoren, wie etwa Temperatur und Feuchtigkeit. In nicht elektronischen Frankiermaschinen des Typs, welcher Mikroprozessoren zum Steuern verwendet, wie etwa in US 3 978 457 offenbart, werden bestimmte dieser Sensoren mittels einer Softwareroutine nach dem ersten Anlegen von Strom an die Frankiermaschine abgefragt. Die Positionen der verschiedenen Verschlußriegel und Zwischeneinrichtungen werden beispielsweise auch mittels Softwareroutinen bestimmt, die mittels verschiedener, von außen stammender Bedingungen initiiert werden, wie etwa beispielsweise manuell gesteuerten Vorgängen zum Auslösen des Druckens von Porto. Die Fehlerprüfroutinen zum Prüfen solcher Sensoren, ebenso wie zum Prüfen zusätzlicher Bedingungen, wie etwa die Richtigkeit von in den Speichern gespeicherten Daten, werden somit nur aufgerufen, wenn speziell auf eine externe Anregung hin angefordert. Somit kann, obwohl zwischen Operationen der Frankiermaschine eine Bedingung aufgetreten sein kann, die irgendwann bewirkt, daß sie den Betrieb einstellt (d. h. beim nächsten Aufruf zum Drucken von Porto), die Frankiermaschine immer noch täuschend äußerlich betriebsbereit erscheinen.
In Übereinstimmung mit einem weiteren Merkmal der Erfindung bewirkt ein Programm für den Mikroprozessor das Prüfen der Register des Speichers mit wahlfreiem Zugriff, ebenso wie die verschiedenen Sensoren, welche optische Schalter sein können, und aller anderen kritischen Datenindikatoren in regelmäßigen Zeitabständen während des Betriebs der Frankiermaschine, anstelle des einfachen Prüfens dieser Parameter beim Starten der Frankiermaschine und ohne externe Stimulation. Dadurch, daß somit periodische Prüfungen vorgenommen werden, wird die Wahrscheinlichkeit eines fehlerfreien Betriebs noch stärker erhöht. Mit anderen Worten, schließt die Hauptroutine der Frankiermaschine, in welche sie immer nach Abschluß beispielsweise eines Portodruckvorganges zurückkehrt, Softwareunterroutinen ein, die periodisch kritische Parameter prüfen, wie etwa die ordnungsgemäße Positionierung mechanischer Elemente in dem Frankierwerk und den korrekten Vergleich von Daten in Speichern, ebenso wie die Richtigkeit der Daten in Übereinstimmung mit Kontrollsummendaten. Diese Technik ermöglicht die zusätzliche, vorteilhafte, periodische Prüfung weiterer, montierter Sensoren, beispielsweise, um mechanische Verletzung der Sicherheit des Gehäuses zu erfassen.
Zu diesem Zweck können, wie in Fig. 5 dargestellt, die Sensoren 50, 51 und 52 verbunden sein, eine Vielzahl von Stufen eines Schieberegisters 55 zu setzen. Es versteht sich natürlich, daß die Zahl solcher Sensoren größer sein kann als die drei dargestellten. Das Schieberegister 55 wird mit der Adresse gekoppelt und wird von der zentralen Bearbeitungseinheit 10 an vorbestimmten Zeiten in dem Hauptprogramm ausgelesen. Ein codiertes Bitmuster ist in dem Nur-Lesespeicher 11 entsprechend den korrekten, fehlerfreien Bedingungen des Sensors vorgesehen. Zu den Zeiten während des Programms, wenn die Sensoren geprüft werden sollen, schiebt das Schieberegister unter Steuerung der zentralen Verarbeitungseinheit das existierende Bitmuster zum Vergleich mit dem in dem Nur-Lesespeicher 11 gespeicherten Bitmuster aus. Somit kann der Status der verschiedenen Sensoren in der Frankiermaschine kontinuierlich bestimmt werden, so daß die Frankiermaschine gesperrt werden kann, sobald eine Bedingung vorliegt, welche die Integrität der Frankiermaschine verletzt.
Das Schieberegister kann natürlich unter Steuerung des Mikroprozessors mittels der herkömmlichen Taktquelle des Systems geschoben werden. Alternativ kann das Schieberegister in Übereinstimmung mit einem bestimmten, einzigartigen Muster vorprogrammiert sein, so daß die Ausgabe des Schieberegisters mit einer vorbestimmten Bedingung "in Ordnung" verglichen werden kann. Die aus einem 8 oder 16 Bitmustercode zur Verfügung stehende Information gemäß diesem Ausführungsbeispiel der Erfindung kann somit einen sehr hohen Grad von Komplexheit für die Bestimmung irgendeiner geeigneten Fehlerprüfung für Diagnosezwecke vorsehen, unter Verwendung von Signaturanalysetechniken. Diese Form des Fehlerprüfens kann verschiedenen Systembeschränkungen auferlegt werden, sowohl für Diagnose als auch mögliche Fehlerkorrektur auf einer automatischen Basis.
In dem in Fig. 1 dargestellten System kann, wie oben erörtert, die Druckeinheit 12 und Steuereinheit 13 spezielle Mikroprozessoren zum Steuern der spezifischen Funktionen dieser Einheiten einschließen, wodurch die Verwendung eines speziellen Systems für die Abrechnungseinheit einschließlich der zentralen Verarbeitungseinheit 10, dem Nur-Lesespeicher 11 und den Speichern 20 und 21 mit wahlfreiem Zugriff ermöglicht wird. In weiteren Ausführungsbeispielen der Erfindung kann die Druckeinheit 12 ferner einen Speicher 60 mit wahlfreiem Zugriff einschließen, und/oder die Steuereinheit 13 kann einen nicht flüchtigen Speicher 61 mit wahlfreiem Zugriff einschließen.
In einem weiteren Ausführungsbeispiel der Erfindung, wie in Fig. 6 dargestellt, sind die nicht flüchtigen Speicher 20, 21 mit wahlfreiem Zugriff des Abrechnungssystems mit separaten Mikroprozessoren 60, 61 verkoppelt, wobei jeder der Mikroprozessoren einen separaten Nur-Lesespeicher 62 bzw. 63 aufweist, um die Betriebsprogramme für den jeweiligen Mikroprozessor zu speichern. Es versteht sich natürlich in der Anordnung der Fig. 6, ebenso wie in der Anordnung der Fig. 1, daß der Nur-Lesespeicher ebenso wie andere Komponenten des Systems, in demselben integrierten Schaltkreis wie der Mikroprozessor eingegliedert sein können.
Weil die beiden Mikroprozessoren separat gesteuert werden, und separate Adreß- und Datenleitungen 64 bzw. 65 aufweisen, werden dadurch die beiden Speicher mit wahlfreiem Zugriff gänzlich unabhängig gesteuert. Die beiden Mikroprozessoren kommunizieren separat mit der Steuereinheit 13 und dem Drucker 82 mittels separater Auswahlschalter 70 und 71, die von den jeweiligen Mikroprozessoren 60 und 61 adressiert werden. Als Konsequenz kann jeder der Mikroprozessoren Signale von dem Drucker und der Steuereinheit empfangen, und jeder von ihnen kann ebenfalls Nachrichten übertragen. Zusätzlich können in den beiden Mikroprozessoren verarbeitete Daten mittels eines Datenverriegelungsspeichers 72, der von einem der Mikroprozessoren steuerbar ist, verglichen werden.
In der Anordnung der Fig. 6 werden beispielsweise von der Tastatur 73 oder einer anderen Peripherieeinrichtung, die mit der Steuereinheit 13 gekoppelt ist, empfangene Eingangsdaten mittels der Optokoppler 15 und 16 und der Auswahlschalter 70 und 71 an die beiden Mikroprozessorsysteme angelegt. Alternativ können natürlich die Daten auf ein Unterbrechungssignal hin in die beiden Mikroprozessoren eingegeben werden. Die beiden Mikroprozessoren führen auf die Eingangsinformation hin die notwendigen Abrechnungsprozeduren unabhängig voneinander durch, bezüglich der in den jeweiligen Speichern mit wahlfreiem Zugriff gespeicherten Daten. Die Programme der beiden Mikroprozessoren ermöglichen einen Austausch von Abrechnungsdaten zum Vergleich, beispielsweise auf einer Konkurrenzgrundlage (contention basis), mittels des Datenverriegelungsspeichers 72. Die Programme der beiden Mikroprozessoren können beispielsweise nur einen der Mikroprozessoren aktivieren, die mit der Steuerungseinheit gekoppelte Anzeige 75 zu steuern, und/oder den Drucker 82 zu steuern. Alternativ kann natürlich redundante Steuerung verwendet werden, wodurch die Steuerung einer Druckerfunktion oder die Steuerung einer Anzeige das gemeinsame Auftreten der Ausgangsfunktion von den beiden Mikroprozessors erfordern kann. Dieses kann beispielsweise in der in US-Anmeldung 089 413, angemeldet am 30. Oktober 1979, gleicher Anmelder wie die vorliegende Anmeldung, offenbarten Weise bewirkt werden, durch Steuern eines Paares von Reihentransistoren separat mittels der beiden Mikroprozessoren, wodurch die gemeinsame Ausgabe der Reihentransistoren die gewünschte Steuerung bewirkt. Es ist natürlich klar, daß andere Techniken für diesen Zweck verwendet werden können.
Die Anordnung der Fig. 6 erhöht dadurch die Redundanz des Systems, so daß selbst ein Ausfall in einem Mikroprozessor mit großer Zuverlässigkeit die Bestimmung ermöglicht, das Auftreten einer Fehlerbedingung, die die Sperrung der Frankiermaschine erfordern kann.
In dem System der Fig. 6 ist die Druckereinheit vollständiger einen Mikroprozessor 80 umfassend dargestellt, der mit den Optokopplern 17 und 18 gekoppelt ist, und einen Druckeinsteller 81 steuert. Der Druckeinsteller 81 stellt die Druckräder in einem Drucker 82 ein, wobei die Einstellung der Druckräder zu dem Mikroprozessor 80 mittels eines Rückführungspfades 83 zurückgeführt wird. Diese Rückführung ermöglicht der Druckereinheit zu bestimmen, ob ein Fehler in der Einstellung der Druckräder aufgetreten ist, und dadurch die Frankiermaschine für den Fall einer fehlerhaften Einstellung zu sperren. Die Rückführungseinstellung kann von dem Mikroprozessor 80 an die Optokoppler 17 und 18 angelegt werden, wodurch die beiden Mikroprozessoren in dem Abrechnungssystem in die Lage versetzt werden, separat auf die Rückführungssignale zu reagieren, um zu druckendes Porto abzurechnen.
Es ist natürlich deutlich, daß geeignete Steuerleitungen vorgesehen sind, die mit dem Mikroprozessor und dem Speicher mit wahlfreiem Zugriff in der üblichen Weise verbunden sind, um das System zu steuern.
Die Funktion des Sperrens der Frankiermaschine kann in den dargestellten Ausführungsbeispielen durch Unterbinden der Operation der mechanischen Elemente der Frankiermaschine unter Programmsteuerung bewirkt werden. Alternativ kann das Vorliegen eines Fehlers, welcher Sperrung der Frankiermaschine erfordert, die Routinen des Mikroprozessors anweisen, eine Endlosschleife durchzuführen. Fehler, die die Sperrung der Frankiermaschine nicht erfordern, können unter Steuerung des Mikroprozessors mittels der Anzeige 73, die mit der externen Steuereinheit gekoppelt ist, angezeigt werden.
Somit sind in Übereinstimmung mit einem Aspekt der Erfindung redundante, nicht flüchtige Speicher in der Abrechnungseinheit einer elektronischen Frankiermaschine vorgesehen, wobei die Abrechnungseinheit einen Mikroprozessor aufweist, der gesteuert wird, Abrechnungsdaten redundant in den beiden Speichern zu speichern. Um die Möglichkeit nicht erfaßbarer Fehler zu minimieren, sind die beiden redundanten Speicher mit dem Mikroprozessor, d. h. dem Mikrocomputerbus, mittels gänzlich separater Gruppen von Daten und Adreßleitungen verbunden. Als Ergebnis der vollständigen Trennung der Adressierung und der Daten führen verschiedene Fehlerbedingungen, wie etwa der Kurzschluß eines Paares von Adreßleitungen, nicht zur fehlerhaften Adressierung beider Speicher. Demgemäß resultiert unter solchen Umständen der Kurzschluß eines Paares von Adreßleitungen nicht in der Speicherung derselben Daten in beiden Speichern, so daß ein Vergleich der gespeicherten Daten in der Erfassung der Fehlerbedingung resultiert.
In Übereinstimmung mit einem weiteren Ausführungsbeispiel der Erfindung werden entsprechende Daten redundant an die redundanten Speicher zu verschiedenen Zeiten angelegt. Dieses kann durch separates Anlegen der Daten sequentiell an die beiden Speicher bewirkt werden. Alternativ können Daten gleichzeitig an die beiden Speicher angelegt oder daraus gelesen werden, wobei die in irgendeinem Zeitpunkt bezüglich der beiden Speicher übertragenen Daten verschiedener Information entsprechen. Als Ergebnis ist es unwahrscheinlich, daß momentan auftretende Transienten auf den Übertragungsleitungen die entsprechenden, in den beiden Speichern gespeicherten Daten in der gleichen Weise beeinträchtigen. Deshalb minimiert dieses System dadurch die Möglichkeit nicht erfaßbarer oder nicht korrigierbarer Fehler, die aus Transienten resultieren.
In Übereinstimmung mit noch einem anderen Ausführungsbeispiel der Erfindung kann die Redundanz des Abrechnungssystems dadurch erhöht werden, daß ebenfalls redundante Mikroprozessoren zum Steuern der beiden Speicher verwendet werden.
Um noch weiter die Möglichkeit des Druckens von Porto ohne Abrechnung zu minimieren, kann das Programm des Mikroprozessors auf das periodische Testen verschiedener kritischer Parameter in dem Mikroprozessor gerichtet sein, als Teil einer Hauptroutine, wobei die Testroutine nur, falls nötig, während einer herkömmlichen Portodruckoperation, wie etwa das Drucken von Porto und Abrechnung dafür, unterbrochen wird. Als Konsequenz ermöglicht die Routine der Frankiermaschine das fortwährende Testen solcher Parameter, so daß die Frankiermaschine gesperrt werden kann, sobald eine Bedingung existiert, welche die Integrität der Abrechnungsdaten bedroht. Die Fehlerprüfung auf einer periodischen Grundlage kann nicht nur die physikalischen Parameter testen, wie etwa Positionen verschiedener mechanischer Elemente, sondern kann ebenfalls den Vergleich der in den beiden Speichern gespeicherten Daten bewirken, ebenso wie die Durchführung von Kontrollsummenprüfungen, um zu bestimmen, ob die in jedem Speicher gespeicherten Daten in Übereinstimmung sind mit vorbestimmten Beziehungen.
Andere Speichertypen können natürlich anstelle von RAMs verwendet werden, beispielsweise serielle Speicher.
Während die Erfindung unter Bezug auf eine beschränkte Anzahl von Ausführungsbeispielen offenbart und beschrieben wurde, ist klar, daß Variationen und Modifikationen darin innerhalb des Umfangs der folgenden Ansprüche vorgenommen werden können.

Claims

1. Elektronisches Frankiermaschinensystem, mit

einem Adreßbus (22, 24) mit einer Vielzahl von Adreßleitungen;

einem Datenbus (23, 25) mit einer Vielzahl von Datenleitungen;

einem Steuerbus mit einer Vielzahl von Steuerleitungen;

einem Mikroprozessor (10), der mit jeder der Adreßleitungen und Datenleitungen des Adreß- und Datenbusses verbunden und mit dem Steuerbus gekoppelt ist; und

ersten und zweiten Speichereinheiten (20, 21) mit wahlfreiem Zugriff, dadurch gekennzeichnet, daß der Mikroprozessor direkt mit jeder der Adreß- und Datenleitungen verbunden ist, und

jeder Speicher mit verschiedenen Leitungen des Adreßbusses und verschiedenen Leitungen des Datenbusses verbunden ist, so daß die Speicher mit wahlfreiem Zugriff separat adressiert werden können.

2. System nach Anspruch 1, gekennzeichnet durch einen Programmspeicher (11) zum Steuern des Betriebs des Mikroprozessors (10) und ein Programm zum Adressieren der ersten und zweiten Speichereinheiten (20, 21) mit wahlfreiem Zugriff, um dieselben Daten darin zu speichern.

3. System nach Anspruch 2, dadurch gekennzeichnet, daß die Programmadressen Speicherstellen der ersten und zweiten Speichereinheiten (20, 21) entsprechen, wobei entsprechende Daten zu verschiedenen Zeiten darin gespeichert oder daraus gelesen werden.

4. System nach Anspruch 2 oder 3, dadurch gekennzeichnet, daß das Programm gleichzeitig verschiedene Daten in den ersten und zweiten Speichereinheiten (20, 21) an nicht entsprechenden Adressenstellen speichert, wodurch momentan auftretende Fehler die in den ersten und zweiten Speichereinheiten gespeicherten Daten in verschiedenen Weisen beeinflussen.

5. System nach einem der Ansprüche 1 bis 4, gekennzeichnet durch Einrichtungen, die auf Unterschiede in ersten und zweiten Speichereinheiten (20, 21) gespeicherten Daten ansprechen, um einen weiteren Betrieb des Mikroprozessors (10) zu sperren.

6. System nach einem der Ansprüche 1 bis 5, dadurch gekennzeichnet, daß die Speichereinheiten (20, 21) mit wahlfreiem Zugriff nicht flüchtig sind.

7. Elektronisches Frankiermaschinensystem mit einem Mikroprozessor (10), adressierbaren und redundanten, nicht flüchtigen Speichereinrichtungen (20, 21), wobei die nicht flüchtigen Speichereinrichtungen zwei separate, nicht flüchtige Speichereinheiten (20, 21) aufweisen, einer Adreßbuseinrichtung (22, 24), die mit den nicht flüchtigen Speichereinrichtungen und dem Mikroprozessor (10) verbunden ist, und einer Datenbuseinrichtung (23, 25), die mit den nicht flüchtigen Speichereinrichtungen (20, 21) und dem Mikroprozessor (10) verbunden ist, worin der Mikroprozessor (10) programmiert ist, Daten zum sequentiellen Schreiben in die nicht flüchtigen Speichereinrichtungen (20, 21) zu erzeugen, und Daten aus den nicht flüchtigen Speichereinrichtungen (20, 21) zu lesen, so daß die Daten redundant in jeweilige der Speichereinheiten eingeschrieben werden; und Einrichtungen vorgesehen sind, um zu bewirken, daß die Daten in den jeweiligen, nicht flüchtigen Speichereinheiten (20, 21) in verschiedenen Formen gespeichert werden.

8. Elektronisches Frankiermaschinensystem nach Anspruch 7, dadurch gekennzeichnet, daß die Einrichtung zum Bewirken, daß die Daten in verschiedenen Formen gespeichert werden, eine Codier-Decodiereinrichtung (30, 31) zum Empfangen der Daten und Codieren der Daten, bevor die Daten in eine erste der nicht flüchtigen Speichereinheiten geschrieben werden, und zum Decodieren der Daten nach Auslesen der Daten aus der ersten, nicht flüchtigen Speichereinheit umfaßt.

9. Elektronisches Frankiermaschinensystem nach Anspruch 7, dadurch gekennzeichnet, daß die Einrichtung zum Bewirken, daß die Daten in verschiedenen Formen gespeichert werden, umfaßt:

eine erste Codier-Decodiereinrichtung (30) zum Empfangen der Daten und Codieren der Daten, bevor die Daten in eine erste der nicht flüchtigen Speichereinrichtungen (20) eingeschrieben werden, und zum Decodieren der Daten nach Auslesen der Daten aus der ersten, nicht flüchtigen Speichereinheit;

eine zweite Codier-Decodiereinrichtung (31) zum Empfangen der Daten und Codieren der Daten, bevor die Daten in eine zweite (21) der nicht flüchtigen Speichereinheiten eingeschrieben werden, und zum Decodieren der Daten nach Auslesen der Daten aus der zweiten, nicht flüchtigen Speichereinheit.

10. Elektronisches Frankiermaschinensystem nach einem der Ansprüche 6 bis 9, dadurch gekennzeichnet, daß wenigstens eine der nicht flüchtigen Speichereinheiten ein batterieunterstützter Speicher mit wahlfreiem Zugriff oder ein EAROM ist.

11. Elektronisches Frankiermaschinensystem nach einem der Ansprüche 6 bis 9, dadurch gekennzeichnet, daß wenigstens eine der nicht flüchtigen Speichereinheiten ein batterieunterstützter Speicher mit wahlfreiem Zugriff oder ein EEPROM ist.

12. Elektronisches Frankiermaschinensystem nach einem der Ansprüche 6 bis 9, dadurch gekennzeichnet, daß wenigstens eine der nicht flüchtigen Speichereinheiten ein EAROM-Speicher mit wahlfreiem Zugriff oder ein EEPROM ist.